Windows 2000 Server 帳號安全設定技巧：禁止列舉與強化認證

前言

攻擊 Windows 2000 首步通常是取得帳號清單再破解密碼。預設安裝允許空連線列舉所有帳號與共享，極度危險。本文提供三層防護。

方法一：禁止列舉帳號（封鎖空連線）

1. 修改登錄

1. regedit 定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa。
2. 將 RestrictAnonymous 設為 1。

圖 1：登錄設定畫面

2. 本機安全性原則

1. 「控制台 → 管理工具 → 本機安全性原則」。
2. 「本機原則 → 安全性選項」找到「網路存取：允許匿名 SID/名稱轉換」或相關選項，設為「停用」。

圖 2：本機安全性原則主控台

方法二：帳號重命名與誘餌帳號

• 將內建 Administrator 重新命名為無規則名稱（如 SysAdmin_2003）。
• 建立名為 Administrator 的誘餌帳號，設極複雜密碼，權限降為最低，啟用稽核。一旦被嘗試登入即告警。

方法三：密碼原則與鎖定機制

• 「帳號原則 → 密碼原則」：強制密碼長度、複雜度、歷史記錄、最長/最短使用期限。
• 「帳號鎖定原則」：設定鎖定門檻（如 5 次失敗）、鎖定時間（如 30 分鐘）、重設計數器時間。

額外建議

• 停用 Guest 帳號。
• 建立兩組管理員帳號：一組日常管理，一組緊急備援（密碼封存保管）。
• 設定螢幕保護程式密碼。
• 善用安全性設定精靈套用預設安全範本。
• 關閉不必要服務與埠口。
• 安裝最新修補程式。